記事一覧に戻る
IPsec FortiGate 2025年10月3日

IPsecとは？仕組みと基礎概念を徹底解説

はじめに

  • 企業ネットワークにおいて「安全な拠点間通信」や「リモートアクセス」を実現するうえで、今も広く使われているのが IPsec（Internet Protocol Security） です。
    クラウド接続や拠点間VPNではほぼ必ず登場しますが、その仕組みをしっかり理解している人は意外と少ないかもしれません。
  • 本記事では「IPsecとは何か？」という基礎から、内部でどんな仕組みが動いているのかまで掘り下げます。

IPsecとは

  • IP層で暗号化・認証を行うフレームワーク
    • アプリケーション（メール・Web・ファイル転送など）に依存せず、IPパケットそのものを保護します。
  • 標準化されている（RFC群）
    • RFC 2401、4301、5996 など複数の規格から構成される。
  • VPN技術の中核
    • 「インターネット上で専用線のような安全性を確保する」ための仕組み。

IPsecが提供するセキュリティ要素

IPsecは単なる暗号化だけでなく、セキュリティの三要素をすべてカバーします。

  1. 機密性（Confidentiality）
    • 暗号化によって盗聴から守る。
    • 代表的アルゴリズム：AES、3DES（非推奨）、ChaCha20 など。
  2. 完全性（Integrity）
    • データが改ざんされていないことを保証。
    • HMAC-SHA1/256/384/512 などを使用。
  3. 認証（Authentication）
    • 通信相手が正しいことを確認。
    • 事前共有鍵（Pre-Shared Key, PSK）やデジタル証明書（X.509）を利用。
  4. リプレイ防止（Anti-Replay）
    • 古いパケットを再送してセッションを乗っ取る攻撃を防ぐために、シーケンス番号をチェック。

IPsecで使われる2つのプロトコル

1. AH (Authentication Header)

  • 役割

    • データの 認証（送信者が正しいか）と 完全性保証（改ざんされていないか）を提供。

    • ただし 暗号化は行わない ため、パケットの中身は見えてしまう。

  • 仕組み

    • IPパケットに「AHヘッダ」を追加し、ハッシュ値を計算して付与する。

    • 受信側はこのハッシュを検証することで、改ざん検知や送信者確認を行う。

  • メリット

    • 暗号化しないため処理が軽い。

    • データの改ざん検出が可能。

  • デメリット

    • データは平文なので盗聴には無力。

    • NAT環境と相性が悪い（AHはIPヘッダまで認証対象に含むため、アドレス変換で破綻）。

  • 実運用での位置づけ

    • かつては「暗号化は不要だが改ざん検出だけ欲しい」用途で考えられたが、NAT環境の普及で事実上使われなくなった。

    • 現代のFortiGateや一般的なVPNではまず使われない。

2. ESP (Encapsulating Security Payload)

  • 役割

    • データの 暗号化（Confidentiality） に加えて 認証（Authentication） と 完全性保証（Integrity） を提供。

    • 「暗号化」と「改ざん検知」を両立できるため、VPNの実装に最適。

  • 仕組み

    • IPパケットのペイロードを暗号化し、ESPヘッダ＋ESPトレーラを追加。

    • 認証オプションを有効にすると、改ざん検知用のIntegrity Check Value (ICV) も付加される。

  • メリット

    • 暗号化による盗聴防止。

    • 改ざん検知と認証も可能。

    • NAT Traversal（UDP 4500ポートでカプセル化）にも対応しやすい。

  • デメリット

    • 暗号化処理があるためAHより計算コストは高い。

    • ただし、現代のFortiGateは専用チップ（NP/CP）で処理をオフロードするので実質的な負担は小さい。

  • 実運用での位置づけ

    • 拠点間VPN・クラウド接続・リモートアクセスVPNすべてで主流。

    • FortiGateでも set encapsulation esp がデフォルト。

    • 「IPsec = ESP」と言ってよいほど一般的。

通信モード

トランスポートモード

  • IPヘッダはそのまま残し、ペイロード部分だけを暗号化。
  • 主にエンドホスト間通信（例：サーバ-to-サーバ）で利用。

トンネルモード

  • IPパケット全体を暗号化し、新しい外側のIPヘッダを付与。
  • 拠点間VPNやクラウド接続ではこちらが一般的。
  • FortiGateの「拠点間VPN」＝ トンネルモード + ESP が標準です。

IKE（Internet Key Exchange）の役割

  • IPsecは「共通鍵で暗号化」しますが、その鍵をどうやって安全にやり取りするかが問題です。
    ここで登場するのが IKE です。

Phase1

  • 管理用のセッション（IKE SA）を確立。
  • 認証方式（PSK / 証明書）や暗号アルゴリズムを合意。

Phase2

  • 実際にユーザデータを通すセッション（IPsec SA）を確立。
  • サブネット間通信の範囲（Proxy-ID / Quick Mode Selector）を合意。

IKEv1 vs IKEv2

IKEv1

  • RFC 2409（1998年）で定義。
  • Main Mode / Aggressive Mode の2種類。
  • 設定が複雑で、拡張（NAT-T, XAUTHなど）が必要になることも多い。
  • 古い機器やレガシー環境との互換用。

IKEv2

  • RFC 5996（2010年）で定義。
  • シンプルで効率的（メッセージ数が少ない）。
  • NAT Traversal が標準対応。
  • 再キーイングも効率化。
  • FortiGateを含め、現在のVPNでは IKEv2が推奨。

暗号アルゴリズムの例

暗号化方式

  • AES-CBC：標準的（128/192/256bit）
  • AES-GCM：暗号化と認証を同時に行う（効率的）
  • 3DES：古く非推奨

認証（ハッシュ）

  • SHA1：古いが一部互換用
  • SHA-256/384/512：現行推奨

鍵交換（DH Group）

  • Group 14 (2048bit), Group 19 (256bit ECP) などが推奨。
  • 小さいグループは脆弱。

まとめ

  • IPsecはIP層で通信を守る仕組みで、VPN技術の中核。
  • ESP＋トンネルモードが実運用の基本。
  • IKEv2が現在の主流で、暗号方式もAES-GCMやSHA-2などが推奨。
  • 拠点間VPN・リモートアクセス・クラウド接続など幅広く利用されている。